npm 构建启动前端项目后，自动在桌面创建了 WITH-LOVE-FROM-AMERICA.txt

[simbaCheng]

结论先行 npm 构建前端项目，启动后在桌面自动创建《 WITH-LOVE-FROM-AMERICA.txt 》文件。

过程：

• 在 gitHub 上下载vue-element-admin
• 按照 readme 中进行安装，npm install
• 启动项目 npm run dev
• 系统弹窗需要访问桌面的权限（手抖点的太快，没看清是哪个程序需要权限）
• 桌面出现《 WITH-LOVE-FROM-AMERICA.txt 》文件

观察： 已经有其他网友也出现此情况，桌面突然出现奇怪 txt 文件！ 好像是今天才出现这个情况

怀疑是不是 npm 依赖项被恶意篡改了。 PS：难道是因为最近的国际时局？

[xiaojun1994]

坐等有人说‘这是开源，这是人家的自由，人家爱干啥干啥’

[MiketsuSmasher]

西方前端娱乐圈又整了个毁灭性花活

[matrix67]

摘录一下 Google 选择引入一个依赖时的决策条款，用于对任何技术做还是不做的评估都有用：

- 是不是有测试，并且使用者可以自己跑起来测试
- 测试是不是通过的
- 谁开发的这个库
- 承诺怎么样的兼容性
- 作者有没有详细地说清楚这个库期望用在什么场景下
- 这项目有多流行
- 我们大概会有多长时间要依赖这个包
- 在历史上这个包搞出来破坏性变更的频率是怎么样的
- 我自己来实现这个依赖的功能的话有多复杂
- 让这个依赖保持版本跟进是不是必要的
- 以后谁来更新依赖的版本
- 这个依赖的版本更新难不难

#94 就《 Software Engineering at Google 》这本书

O'Reilly 官网地址： https://learning.oreilly.com/library/view/software-engineering-at/9781492082781/
原书第 436 页，第 21 章依赖管理

第三条就是，“谁开发的这个库”。看来人品更重要

[cwyalpha]

github.com/zlw9991/node-ipc-dependencies-list/ 受影响的库

[CL]

非常恶劣的行为